Vaultwarden

Vaultwarden est un gestionnaire de mots de passe léger et auto-hébergé qui implémente l’API Bitwarden. Il est entièrement compatible avec les applications clientes et extensions de navigateur Bitwarden officielles, ce qui permet de stocker et synchroniser mots de passe, notes sécurisées et autres secrets sur une infrastructure que vous contrôlez.

Logiciels inclus

Composant	Version
Vaultwarden	1.36.0
Docker	Dernière stable
Docker Compose	Dernière stable
Ubuntu	24.04 LTS

Vaultwarden stocke ses données dans une base SQLite intégrée et sert le coffre web en HTTPS sur le port 8000 avec un certificat autosigné généré au premier démarrage.

Prérequis

Ressource	Minimum	Recommandé
vCPU	1	2
RAM	1 Go	2 Go
Stockage	10 Go	20 Go

Vaultwarden consomme peu de ressources.

Variables d’environnement

Vous pouvez les définir au déploiement de Vaultwarden depuis la Marketplace. Laissez ADMIN_TOKEN vide pour générer automatiquement une valeur aléatoire sécurisée.

Variable	Description
VAULTWARDEN_DOMAIN	URL publique complète utilisée par les clients, par exemple https://vault.example.com
ADMIN_TOKEN	Jeton du panneau /admin

Démarrage

1. Se connecter à la machine virtuelle

ssh ubuntu@<your-vm-ip>

2. Attendre la configuration au premier démarrage

Au premier démarrage, un script génère un certificat TLS autosigné et le jeton administrateur, puis démarre le conteneur avec Docker Compose. Cela prend moins d’une minute. Suivez la progression:

journalctl -u vaultwarden-first-boot.service -f

Le message de connexion (MOTD) confirme quand Vaultwarden est prêt.

3. Récupérer le jeton administrateur

Le jeton administrateur sert à se connecter au panneau /admin. Il est écrit dans un fichier réservé à root:

sudo cat /root/.credentials/vaultwarden.txt

4. Ouvrir le coffre web

Ouvrez un navigateur et allez à:

https://<your-vm-ip>:8000

Le certificat autosigné déclenche un avertissement du navigateur. Acceptez l’exception pour continuer. Le panneau d’administration se trouve à https://<your-vm-ip>:8000/admin.

Note

L’inscription libre des utilisateurs est désactivée par défaut (SIGNUPS_ALLOWED=false). Pour ajouter des utilisateurs, ouvrez le panneau d’administration et invitez-les sous Users, ou activez l’inscription ouverte sous General Settings.

Gérer Vaultwarden

Vaultwarden s’exécute comme pile Docker Compose dans /data/vaultwarden.

# Vérifier l'état
cd /data/vaultwarden && docker compose ps

# Redémarrer
cd /data/vaultwarden && docker compose restart

# Voir les journaux
cd /data/vaultwarden && docker compose logs -f

Configuration d’environnement: /data/vaultwarden/vaultwarden.env. La base du coffre et le certificat sont stockés sous /data/vaultwarden/data.

Sécurité

Le port 8000 est ouvert sur l’interface réseau de la machine virtuelle. UFW est activé et autorise SSH (port 22) et le coffre web Vaultwarden (port 8000). Les clients Bitwarden exigent HTTPS, que l’image sert avec un certificat autosigné par défaut.

Traitez le jeton administrateur comme un mot de passe root.

En production, définissez DOMAIN avec l’URL publique complète utilisée par les clients, y compris le schéma et le port ou chemin éventuel (par exemple https://vault.example.com ou https://<ip-publique>:8000), dans /data/vaultwarden/vaultwarden.env, remplacez le certificat autosigné par un certificat de confiance (ou placez Vaultwarden derrière un proxy inverse comme Caddy qui termine TLS), puis redémarrez la pile:

cd /data/vaultwarden && docker compose restart

Prochaines étapes

• Documentation Vaultwarden
• Activer HTTPS